Hejsan,
Är också mycket bekymrad över detta. Är det någon poäng att försöka
tjata och gnälla på sin bank (i mitt fall Swedbank) tror ni? Eller bör
man vända sig till utvecklarna av bankid?
/Jonas
On Wed, 2014-04-23 at 10:32 +0200, Roland Hedayat wrote:
> Hej,
>
> Jag hoppas det är ok att ta upp detta på denna listan.
>
>
> Jag utgår ifrån att de allra flesta på listan ogillar
> att Linux-plattformen kommer att stängas ute från
> den dominerande e-leg-tjänsten i Sverige.
>
> Jag ringde min bankförbindelse (SHB) och blev
> vidareförmedlad till deras representant hos BankID. SHB
> avböjde delansvar för beslutet, och hänvisade till
> "kollektivet" inom Finansiell ID-teknik.
>
> Nedan en bekräftelse från Handelsbanken som skickades
> efter vårt samtal, samt mitt svar längre ner.
>
> Jag anser att det är synnerligen allvarligt att öppna
> operativsystem stängs ute från Sveriges
> it-infrastruktur på grunder som i alla fall inte är
> tekniska.
>
> FriBid-implementationen, som vi har använt flera år, är
> ett exempel på att Finansiell ID-tekniks nuvarande
> bidrag till säkerheten är ett "obfuskeringslager" på
> toppen av en vedertagen PKI-infrastruktur. Detta
> obfuskeringslager har i och med FriBid varit hackat
> i flera år. Finansiell ID-teknik måste ha varit
> medvetna om detta, vilket är ett implicit erkännande av
> att säkerheten ligger i PKI-infrastrukturen i sig, och
> inte i Finansiell ID-tekniks programvara.
>
> De av er som på ett eller annat sätt vill engagera er
> i detta kan svara mej, så kan vi komma överens om hur
> vi går vidare.
>
> /Roland Hedayat
>
> ===============================================================
>
> On Thu, Apr 10, 2014 at 12:53:59PM +0200, Guy Wennerholm wrote:
>
> Hej!
>
> Tack för ett givande samtal igår.
>
> Som jag nämnde även igår tar jag till mig dina
> synpunkter och kommer att ta upp dem inom det
> bankgemensamma arbetet inom Finansiell ID-Teknik.
> Det kommer naturligtvis också att vara en del av
> våra interna diskussioner när vi diskuterar
> nuvarande och kommande säkerhetslösningar för våra
> självbetjäningstjänster.
>
> Jag lovade återkomma med ett besked om hur länge vi
> har kvar stödet för Linux. Svaret är inte helt
> entydigt men ger kanske åtminstone en bättre bild
> av vad du kan förvänta dig.
>
> Alla förlitande parter (alla företag eller
> myndigheter) som accepterar BankID för inloggning
> och signering måste gå över till den nya tekniska
> infrastrukturen innan årsskiftet. En del har redan
> gjort det andra planerar att göra det under hösten
> 2014. I Handelsbanken är planen också att genomföra
> detta under hösten 2014. Utredning pågår hur detta
> ska göras på bästa sätt men troligt att vi gör
> övergången någon gång under perioden oktober till
> november.
>
> Med vänlig hälsning
> Guy Wennerholm
>
> Och mitt svar:
>
> ----- Forwarded message from Roland Hedayat <roland_at_inherit.se> -----
>
> Date: Mon, 21 Apr 2014 23:20:13 +0200
> From: Roland Hedayat <roland_at_inherit.se>
> To: Guy Wennerholm <guwe05_at_handelsbanken.se>
> Subject: Re: Linux och BankID
> User-Agent: Mutt/1.5.21 (2010-09-15)
>
> Hej!
>
> Tack för ditt svar.
>
> On Thu, Apr 10, 2014 at 12:53:59PM +0200, Guy Wennerholm wrote:
> > Hej!
>
> > Tack för ett givande samtal igår.
>
> > Som jag nämnde även igår tar jag till mig dina
> > synpunkter och kommer att ta upp dem inom det
> > bankgemensamma arbetet inom Finansiell ID-Teknik. Det
> > kommer naturligtvis också att vara en del av våra
> > interna diskussioner när vi diskuterar nuvarande och
> > kommande säkerhetslösningar för våra
> > självbetjäningstjänster.
>
> Jag anser att det är ett stort misstag att inte stödja
> Linux för denna typ av infrastrukturprogramvara. Det
> innebär en inlåsning för medborgarna som inte kan vara
> i någons intresse, utom givetvis för Apple och
> Microsoft.
>
> Jag är övertygad om att den snäva vinstmaximeringen som
> (möjligtvis) uppnås genom att inte stödja
> Linux-plattformen är ett klassiskt exempel på
> kortsiktigt tänkande. Apples OS är en Unixvariant, som
> sådan besläktad med Linux, vilket med stor sannolikhet
> innebär att BankID för Apple borde ha mycket gemensamt
> med dito för Linux. Och om så inte är fallet, borde bra
> design av programvaran göra att stora delar av den kan
> återanvändas för de tre plattformarna.
>
> > Jag lovade återkomma med ett besked om hur länge vi
> > har kvar stödet för Linux. Svaret är inte helt
> > entydigt men ger kanske åtminstone en bättre bild av
> > vad du kan förvänta dig.
>
> > Alla förlitande parter (alla företag eller
> > myndigheter) som accepterar BankID för inloggning och
> > signering måste gå över till den nya tekniska
> > infrastrukturen innan årsskiftet. En del har redan
> > gjort det andra planerar att göra det under hösten
> > 2014. I Handelsbanken är planen också att genomföra
> > detta under hösten 2014. Utredning pågår hur detta
> > ska göras på bästa sätt men troligt att vi gör
> > övergången någon gång under perioden oktober till
> > november.
>
> Tack för denna information.
>
> NÃ¥gra kommentarer:
>
> VÃ¥r kundrelation
> ================
>
> För det första är jag privatkund i Handelsbanken sedan
> 1988, men utöver det har jag två företagskonti hos SHB,
> den ena nystartad.
>
> Det nystartade företaget utvecklar en källkodsöppen
> plattform för hantering BPM (Business Process Management)
> och e-tjänster, först och främst riktat mot offentlig
> sektor.
>
> I en vidare bemärkelse är företagets affärside att ta
> fram samverkanslösningar där öppen källkod är en
> nyckelfaktor för framgång.
>
> I det sammanhanget uppfattar vi Finansiell ID-tekniks
> beslut som direkt konkurrensvridande.
>
> I förbindelse med att vi öppnade den nya firman köpte
> vi också SHB:s företagspaket. Vi tog för givet att
> stödet för Linux (som inte är bra i dag) inte skulle
> bli sämre.
>
> Vi kommer nu att undersöka våra optioner.
>
> Principiella aspekter
> =====================
>
> Men den viktiga frågan är principiell.
>
> BankID är ett exempel på att privat sektor är
> anförtrodd att utveckla en programvara/tjänst, som
> kommer att användas i andra sammanhang, också för
> medborgarens utnyttjande av e-tjänster inom offentlig
> sektor
>
> Eftersom BankID är privat, må det möjligtvis vara så
> att man kan betrakta det som konsortiets deltagares
> rätt att själva bestämma vad som är optimalt för dem.
>
> Det är ändå påfallande att man inom den privata sektorn
> tar så lätt på konkurrensen när det kommer till
> kritan. I andra sammanhang, när det är mer opportunt,
> framhävs fri konkurrens som nyckeln till framgång för
> såväl den enskilde som för gemenskapen.
>
> Det säger sig självt att ett beslut att stänga ute
> Linux från autenticerings- och signeringstjänster i
> praktiken gör denna plattform oanvändbar för de flesta,
> både i privata och professionella sammanhang. Mycket få
> kommer att skaffa en egen Windowsdator, eller Mac,
> enbart för att sköta sina ärenden hos bank, och vis a
> vis offentlig sektor.
>
> Situationen är speciellt graverande eftersom BankID är
> en så marknadsdominerande tjänst.
>
> Sedan är det klart att Staten har ett ansvar för den
> uppkomna situationen, genom att inte förstå vilka krav
> som måste ställas på infrastrukturtjänsters
> konkurrensneutralitet. Det är oacceptabelt att Stat
> och kommun kan acceptera en eId plattform som stänger
> ute en högkvalitativ, säker, fri och öppen plattform
> som Linux, och som dessutom inte har några dolda
> bakdörrar, vilket kanske torde vara av visst intresse i
> dessa tider. Linux har dessutom stöd för alla öppna
> säkerhetsstandarder av relevans för ett PKI av den
> sort som BankID är baserat på.
>
> Vad hade PTS sagt om Motorola-telefoner vore utestängda
> från de marknadsominerande operatörernas nät bara för
> att de hade låg marknadsandel, trots att de uppfyller
> samma standarder som övriga?
>
> PS:
>
> * Visste du att 96% av världens 500 starkaste
> superdatorer kör Linux?
>
> * Att Android är en variant av Linux?
>
> * Att enligt CESG (Communications-Electronics
> Security Group), ett statligt Brittisk
> Cybersäkerhetsorgan så är Linux (Ubuntu 12.04) i
> särklass den mest säkra plattformen med avseende på
> ett antal säkerhetstester och kriteria.
>
>
> Jag hoppas ni framför detta till "kollektivet" i
> Finansiell ID-teknik.
>
> Med vänlig hälsning,
>
> Roland Hedayat
>
_______________________________________________
http://www.foss-sthlm.se/
http://cool.haxx.se/cgi-bin/mailman/listinfo/foss-sthlm